{"id":79489,"date":"2020-04-27T19:41:58","date_gmt":"2020-04-27T17:41:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/legkij-sposob-zashhitit-svoj-mikrotik-ot-atak"},"modified":"2020-04-27T19:41:58","modified_gmt":"2020-04-27T17:41:58","slug":"legkij-sposob-zashhitit-svoj-mikrotik-ot-atak","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/legkij-sposob-zashhitit-svoj-mikrotik-ot-atak","title":{"rendered":"Une m\u00e9thode simple pour prot\u00e9ger votre Mikrotik contre les attaques","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Je souhaite partager avec la communaut\u00e9 une m\u00e9thode simple et efficace pour prot\u00e9ger votre r\u00e9seau et les services expos\u00e9s \u00e0 l'ext\u00e9rieur contre les attaques, en utilisant Mikrotik. En trois r\u00e8gles, vous pouvez organiser un honeypot sur Mikrotik. <\/p>\n

Imaginons que nous avons un petit bureau, avec un IP externe derri\u00e8re lequel se trouve un serveur RDP pour le travail des employ\u00e9s \u00e0 distance. La premi\u00e8re r\u00e8gle est \u00e9videmment de changer le port 3389 sur l'interface externe pour un autre. Mais cela n'est que temporaire, apr\u00e8s quelques jours, le journal d'audit du serveur de terminal commencera \u00e0 montrer plusieurs \u00e9checs d'authentification par seconde venant de clients inconnus. <\/p>\n

Dans une autre situation, si vous avez un asterisk cach\u00e9 derri\u00e8re Mikrotik, bien s\u00fbr pas sur le port UDP 5060, et apr\u00e8s quelques jours, cela commence \u00e9galement \u00e0 provoquer des tentatives de mot de passe\u2026 oui, je sais, fail2ban est notre solution, mais il faudra encore travailler un peu dessus\u2026 Personnellement, j'ai r\u00e9cemment install\u00e9 fail2ban sur Ubuntu 18.04 et j'ai \u00e9t\u00e9 surpris de d\u00e9couvrir qu'il ne contient pas par d\u00e9faut des configurations actuelles pour asterisk de la m\u00eame version d'Ubuntu\u2026 et il est difficile de trouver des r\u00e9glages rapides et des 'recettes', les num\u00e9ros de versions augmentent avec les ann\u00e9es, mais les articles sur les 'recettes' pour les anciennes versions ne fonctionnent plus, et il y a peu de nouveaux\u2026 Mais je m'\u00e9gare.
\n<\/a><\/noindex>
\nAlors, qu'est-ce qu'un honeypot en deux mots - c'est un app\u00e2t, dans notre cas, un port populaire sur une IP externe, toute requ\u00eate sur ce port provenant d'un client externe envoie l'adresse source dans une liste noire. Voil\u00e0.<\/p>\n

\/ip firewall filter\nadd action=add-src-to-address-list address-list="Honeypot Hacker" \n    address-list-timeout=30d0h0m chain=input comment="block honeypot ssh rdp winbox" \n    connection-state=new dst-port=22,3389,8291 in-interface=\n    ether4-wan protocol=tcp\nadd action=add-src-to-address-list address-list="Honeypot Hacker" \n    address-list-timeout=30d0h0m chain=input comment=\n    "block honeypot asterisk" connection-state=new dst-port=5060 \n    in-interface=ether4-wan protocol=udp \n\/ip firewall raw\nadd action=drop chain=prerouting in-interface=ether4-wan src-address-list=\n    "Honeypot Hacker"\n<\/code><\/pre>\n
\nLa premi\u00e8re r\u00e8gle sur les ports TCP populaires 22, 3389, 8291 de l'interface externe ether4-wan envoie l'IP du 'client' dans la liste 'Honeypot Hacker' (les ports pour ssh, rdp et winbox \u00e9tant pr\u00e9alablement d\u00e9sactiv\u00e9s ou chang\u00e9s). La deuxi\u00e8me fait la m\u00eame chose pour le populaire UDP 5060.<\/p>\n
La troisi\u00e8me r\u00e8gle, au stade du pr\u00e9-routage, bloque les paquets des 'clients' dont l'adresse source a \u00e9t\u00e9 ajout\u00e9e \u00e0 la liste 'Honeypot Hacker'.<\/p>\n
Apr\u00e8s deux semaines de fonctionnement de mon Mikrotik domestique, la liste 'Honeypot Hacker' comptait environ une quinzaine de centaines d'adresses IP de ceux qui ont essay\u00e9 de 'tirer sur la t\u00e9tine' de mes ressources r\u00e9seau (j'ai ma propre t\u00e9l\u00e9phonie, mail, nextcloud, rdp). Les attaques par force brute ont cess\u00e9, c'est le bonheur. <\/p>\n
Au travail, ce n'est pas si simple, l\u00e0, le serveur rdp continue d'\u00eatre attaqu\u00e9 par des tentatives de mot de passe.<\/p>\n
Il semble que le num\u00e9ro de port ait \u00e9t\u00e9 d\u00e9termin\u00e9 par le scanner bien avant que le honeypot ne soit activ\u00e9, et pendant le confinement, il n'est pas si facile de reconfigurer plus de 100 utilisateurs, dont 20 % ont plus de 65 ans. Dans les cas o\u00f9 il est impossible de changer le port, il existe une petite recette fonctionnelle. J'ai rencontr\u00e9 cela sur Internet, mais ici il y a des am\u00e9liorations et un r\u00e9glage fin : <\/p>\n
                        R\u00e8gles pour configurer le Port Knocking<\/b><\/p>\n
 \/ip firewall filter\nadd action=add-src-to-address-list address-list=rdp_blacklist \n    address-list-timeout=15m chain=forward comment=rdp_to_blacklist \n    connection-state=new dst-port=3389 protocol=tcp src-address-list=\n    rdp_stage12\nadd action=add-src-to-address-list address-list=rdp_stage12 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage11\nadd action=add-src-to-address-list address-list=rdp_stage11 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage10\nadd action=add-src-to-address-list address-list=rdp_stage10 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage9\nadd action=add-src-to-address-list address-list=rdp_stage9 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage8\nadd action=add-src-to-address-list address-list=rdp_stage8 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage4\nadd action=add-src-to-address-list address-list=rdp_stage7 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage6\nadd action=add-src-to-address-list address-list=rdp_stage6 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage5\nadd action=add-src-to-address-list address-list=rdp_stage5 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=\n    3389 protocol=tcp src-address-list=rdp_stage4\nadd action=add-src-to-address-list address-list=rdp_stage4 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=\n    3389 protocol=tcp src-address-list=rdp_stage3\nadd action=add-src-to-address-list address-list=rdp_stage3 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage2\nadd action=add-src-to-address-list address-list=rdp_stage2 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp src-address-list=rdp_stage1\nadd action=add-src-to-address-list address-list=rdp_stage1 \n    address-list-timeout=4m chain=forward connection-state=new dst-port=3389 \n    protocol=tcp \n\/ip firewall raw\nadd action=drop chain=prerouting in-interface=ether4-wan src-address-list=\nrdp_blacklist\n<\/code><\/pre>\n
\nEn 4 minutes, un client distant n'est autoris\u00e9 \u00e0 faire que 12 nouvelles \u00ab demandes \u00bb au RDP serveur<\/a>. Une tentative de connexion \u00e9quivaut \u00e0 1 \u00e0 4 \u00ab demandes \u00bb. \u00c0 la 12\u00e8me \u00ab demande \u00bb \u2013 blocage pendant 15 minutes. Dans mon cas, les malfaiteurs ont continu\u00e9 \u00e0 pirater le serveur, s'adaptant aux minuteurs et le faisant maintenant tr\u00e8s lentement, cette vitesse de tentative r\u00e9duit l'efficacit\u00e9 de l'attaque \u00e0 n\u00e9ant. Les employ\u00e9s de l'entreprise n'\u00e9prouvent pratiquement aucun inconv\u00e9nient au travail en raison des mesures prises. <\/p>\n
                        Encore une petite astuce<\/b>
\n                         Cette r\u00e8gle est activ\u00e9e par un horaire \u00e0 une heure du matin et se d\u00e9sactive \u00e0 5 heures, quand les gens dorment s\u00fbrement et que les bots de tentative de connexion continuent d'\u00eatre \u00e9veill\u00e9s.<\/p>\n
\/ip firewall filter \nadd action=add-src-to-address-list address-list=rdp_blacklist \n    address-list-timeout=1w0d0h0m chain=forward comment=\n    "night_rdp_blacklist" connection-state=new disabled=\n    yes dst-port=3389 protocol=tcp src-address-list=rdp_stage8<\/code><\/pre>\n
\nD\u00e8s la 8\u00e8me connexion, l'adresse IP de l'agresseur est mise sur liste noire pour une semaine. Magnifique !<\/p>\n
Et pour faire \u00e9cho \u00e0 ce qui a \u00e9t\u00e9 dit, je vais ajouter un lien vers l'article Wiki, avec une configuration fonctionnelle pour prot\u00e9ger le Mikrotik contre les scanners de r\u00e9seau. wiki.mikrotik.com\/wiki\/Drop_port_scanners<\/a><\/noindex><\/p>\n
Sur mes appareils, ce r\u00e9glage fonctionne en conjonction avec les r\u00e8gles de honeypot d\u00e9crites ci-dessus, les compl\u00e9tant bien.<\/p>\n
UPD : Comme sugg\u00e9r\u00e9 dans les commentaires, la r\u00e8gle de suppression des paquets a \u00e9t\u00e9 d\u00e9plac\u00e9e dans RAW, afin de r\u00e9duire la charge sur le routeur.
\n
Source : habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0425\u043e\u0447\u0443 \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0441 \u0441\u043e\u043e\u0431\u0449\u0435\u0441\u0442\u0432\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u044b\u043c \u0438 \u0440\u0430\u0431\u043e\u0447\u0438\u043c \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u043c, \u043a\u0430\u043a \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 Mikrotik \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u0441\u0432\u043e\u044e \u0441\u0435\u0442\u044c \u0438 \u00ab\u0432\u044b\u0433\u043b\u044f\u0434\u044b\u0432\u0430\u044e\u0449\u0438\u0435\u00bb \u0438\u0437-\u0437\u0430 \u043d\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u0430\u0442\u0430\u043a. \u0410 \u0438\u043c\u0435\u043d\u043d\u043e \u0432\u0441\u0435\u0433\u043e \u0442\u0440\u0435\u043c\u044f \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043d\u0430 \u041c\u0438\u043a\u0440\u043e\u0442\u0438\u043a\u0435 honeypot. \u0418\u0442\u0430\u043a, \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043c, \u0447\u0442\u043e \u0443 \u043d\u0430\u0441 \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0439 \u043e\u0444\u0438\u0441, \u0432\u043d\u0435\u0448\u043d\u0438\u0439 IP \u0437\u0430 \u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0441\u0442\u043e\u0438\u0442 RDP \u0441\u0435\u0440\u0432\u0435\u0440, \u0434\u043b\u044f \u0440\u0430\u0431\u043e\u0442\u044b \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u043e\u0432 \u043f\u043e \u0443\u0434\u0430\u043b\u0435\u043d\u043a\u0435. \u041f\u0435\u0440\u0432\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u044d\u0442\u043e \u043a\u043e\u043d\u0435\u0447\u043d\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-79489","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Facile moyen de prot\u00e9ger votre Mikrotik contre les attaques | ProHoster","description":"Je souhaite partager avec la communaut\u00e9 une m\u00e9thode simple et efficace pour prot\u00e9ger mon r\u00e9seau et les services \u00ab visibles \u00bb derri\u00e8re lui contre les attaques ext\u00e9rieures \u00e0 l'aide de Mikrotik.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/legkij-sposob-zashhitit-svoj-mikrotik-ot-atak","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041b\u0435\u0433\u043a\u0438\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u0441\u0432\u043e\u0439 Mikrotik \u043e\u0442 \u0430\u0442\u0430\u043a | ProHoster","og:description":"\u0425\u043e\u0447\u0443 \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u0441 \u0441\u043e\u043e\u0431\u0449\u0435\u0441\u0442\u0432\u043e\u043c \u043f\u0440\u043e\u0441\u0442\u044b\u043c \u0438 \u0440\u0430\u0431\u043e\u0447\u0438\u043c \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u043c, \u043a\u0430\u043a \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 Mikrotik \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u0441\u0432\u043e\u044e \u0441\u0435\u0442\u044c \u0438 \u00ab\u0432\u044b\u0433\u043b\u044f\u0434\u044b\u0432\u0430\u044e\u0449\u0438\u0435\u00bb \u0438\u0437-\u0437\u0430 \u043d\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u0430\u0442\u0430\u043a.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/legkij-sposob-zashhitit-svoj-mikrotik-ot-atak","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-04-27T17:41:58+00:00","article:modified_time":"2020-04-27T17:41:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"79489","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 16:37:23","updated":"2026-02-09 21:41:53","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/79489","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=79489"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/79489\/revisions"}],"predecessor-version":[{"id":160157,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/79489\/revisions\/160157"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=79489"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=79489"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=79489"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}